Peneliti Imperva menerbitkan analisis pada 2 November 2026 tentang kampanye yang menyerang toko online berbasis Magento dan Adobe Commerce. Penyerang memakai CVE-2026-75650, celah yang dijuluki StyleSmuggler dengan skor CVSS 10,0, untuk memasang trojan akses jarak jauh bernama PSK Agent. Menurut Imperva, serangan ini berlangsung 9 sampai 13 September 2026 dan menyasar toko di Eropa Barat, Amerika Utara, dan Asia Pasifik. Laporan tidak menyebut Indonesia secara khusus.
Apa yang terjadi dan siapa yang terdampak
CVE-2026-75650 adalah celah injeksi template yang memungkinkan eksekusi kode jarak jauh tanpa login. Sansec mencatat versi Adobe Commerce dan Magento Open Source 2.4.4 sampai 2.4.9 terdampak, begitu pula Adobe Commerce B2B 1.3.3 sampai 1.5.3. Adobe menerbitkan buletin APSB26-146 pada 7 September 2026 dengan hotfix VULN-39341. Sansec menyebut eksploitasi pertama terkonfirmasi sejak 4 September, sebelum patch tersedia.
Dalam kampanye yang dilacak Imperva, penyerang mengirim skrip dropper, PSK Agent RAT, dan webshell PHP ke server korban. Dropper itu belum terdeteksi VirusTotal saat Imperva menganalisisnya. Imperva menilai operatornya kemungkinan berbahasa Mandarin dengan tingkat keyakinan sedang, tetapi tidak mengaitkannya dengan kelompok tertentu. Rescana mencatat CISA sudah memasukkan celah ini ke katalog KEV pada 8 September.
Langkah yang perlu diambil pemilik toko
Pasang hotfix VULN-39341 lalu pastikan statusnya terpasang. Imperva menekankan bahwa hotfix hanya menutup pintu masuk awal dan tidak menghapus RAT, webshell, atau persistensi yang sudah tertanam sebelum patch. Toko yang belum menambal sejak September sebaiknya dianggap berpotensi sudah dibobol.
Periksa server untuk berkas dropper, RAT, dan webshell PHP, termasuk di direktori pub/media/. Pantau juga pencarian DNS yang tidak wajar dan koneksi keluar dari proses web server. Jika ada tanda kompromi, perlakukan server sebagai sepenuhnya dibobol, lalu rotasi semua rahasia yang bisa diakses akun web server: kunci enkripsi Magento, kredensial basis data dan admin, token integrasi, kredensial gateway pembayaran, dan kunci SSH. Adobe mengingatkan bahwa merotasi kunci enkripsi saja tidak membatalkan kredensial yang sudah terpapar, jadi rotasi perlu dilakukan di sumber masing-masing, termasuk di penyedia pembayaran.
Cabang yang sudah tidak didukung, yaitu 2.4.0 sampai 2.4.3 serta 2.2 dan 2.3, tidak mendapat patch dari Adobe. Scandiweb menerbitkan backport tidak resmi untuk 41 rilis, tetapi Sansec belum meninjaunya dan menyarankan pengujian di staging lebih dulu. Untuk toko di Adobe Commerce Cloud, Adobe menyediakan virtual patch lewat aturan Fastly, dan Cloudflare serta Imperva merilis aturan WAF pada 10 September. Aturan WAF hanya kontrol sementara. Karena Magento berjalan di atas PHP, periksa juga versi PHP di server Anda, seperti dibahas di liputan PHP2Shell.
Bagi pemilik toko online di Indonesia yang memakai Magento, kesimpulannya praktis: cek status VULN-39341 hari ini, lalu cari berkas mencurigakan sebelum menganggap server bersih.